基于RBAC扩展权限模型在电子政务系统中的应用.pdfVIP

基于RBAC 扩展权限模型在电子政务系统中的应用 赵凌 北京邮电大学电信工程学院，北京（100876 ） E-mail：zhaoling.bj@ 摘 要：基于角色的访问控制模型（RBAC ）作为当前最为广泛接受的权限模型，在不同类 型的系统中都得到了普遍的应用。本文立足于某大型电子政务系统的开发，提出了基于 RBAC 模型进行扩展的权限模型。该模型对权限定义句法进行了分析和扩展，满足了系统要 求的条件权限授予、分级授权等复杂的权限管理要求。 关键词：RBAC；扩展；权限模型；电子政务 1．引言 权限管理功能是各种计算机软件系统的基础功能，它能够防止系统管理的资源被未经授 权的用户访问。随着计算机网络技术的发展，在给人们带来更为便利的资源访问手段的同时， 对计算机软件系统的权限管理功能也提出了越来越高的要求。电子政务系统做为一种以工作 流技术和信息管理发布技术为基础的综合的软件系统，具有使用人员多、权限级别多、涉密 内容多、子系统多等特征，对权限管理功能的安全强度、配置的灵活性、与业务系统的低耦 合性等多个方面提出了更高的要求。 基于角色的访问控制技术（RBAC ）是近年来在信息安全领域访问控制方面的研究热点 和重点[1] 。它是目前应用最广、效果良好的访问控制策略模型。它在安全强度、灵活性、业 务无关性上都有很优异的表现，如果能够很好地解决session绑定，它在使用中具有很优秀的 [2] 性能 。 而作为一种通用的权限模型，RBAC模型在部分功能上并不能完全满足电子政务系统对 于权限管理的复杂要求。下文将以RBAC模型为基础，对其主体定义、机构管理、资源定义、 授权管理等方面进行扩展，提出一种适合电子政务系统使用的权限模型。 2 ．模型设计 2.1 问题域划分 图1 问题域的划分 权限管理的本质是要控制特定的主体以一定的方式对特定对象的访问。如图 1 所示，权 限管理模型在问题域被划分为4 部分：数据字典、主体域、对象域、权限域。下面分别进行 - 1 - 表述。 2.2 数据字典域 图2 数据字典域 a. 数据字典域也可以称作元数据域，它的目标是对各个业务系统内需要进行权限控制的数 据资源进行描述，包括资源的名称、资源的属性、属性取值以及资源上可以施加的操作 等。 b. 由于整个电子政务系统由多个不同厂商开发子系统构成，为了防止不同子系统之间产生 冲突，系统中引入树状结构的名字空间，资源需要定义在特定的名字空间，对于各子系 统共享的资源，可以定义在全局名字空间下。 c. 通过引入数据字典域，有效地实现了权限管理系统与业务系统的隔离。各业务系统可以 根据权限管理的需要根据不同的资源自由进行定义。 2.3 主体域 a. 主体域是对可以作为被授权的对象的描述。在RBAC 中，被授权的对象只能是角色。在 电子政务系统中，只能对角色授权很难满足权限管理的要求。在本模型中，授权的主体 被扩充为3 种：用户、用户集合、角色。 b. 首先，由于机关工作专人专岗的原因，有相当一部分的资源的特定操作权限只能被授给 专人负责。如果强制要求把权限先授给一个角色，然后再把角色与特定用户绑定，虽然 能够满足功能的要求，但会造成系统中存在大量只与一个用户绑定的角色。这样，在给 用户授权的时候需要先查找包含该权限的角色，使授权操作不是很直观；同时为了对敏 感权限的授权进行细粒度的管理，系统管理员将必须对使用这些角色进行授权的权限进 行管理，使权限管理的工作量翻倍。因此在本模型中允许对用户直接授权。 c. 其次，在实际工作中，有部分权限的授予是根据用户的属性授予的。例如：某类型的文 件只能够被局级以上的党内人员阅读。这种方式的权限虽然可以通过先定义角色，再把 符合条件的用户与角色绑定的方式来授权，但是由于这样的条件组合的方式很多，很难 对定义出的角色进行管理（甚至对于复杂的条件，角色的标示名都很难表述）；同时， 有部分可作